www.MegaLab.it

da **ste_95** » dom apr 13, 2008 5:28 pm

Hai provato gli altri tool?

da **prik** » dom apr 13, 2008 5:34 pm

sennò pensavo anche a un altra soluzione che avevo usato in passato e mi avevano aiutato in questo forum...
io avrei anche hijack this e avenger...
però ond evitare disastri forse dovrei mettere qui il log che viene fuori in modo tale che poi chi è più esperto li analizzi e mi dica cosa devo fare...

http://www.mediafire.com/?yttjx4dkanc

da **prik** » dom apr 13, 2008 5:35 pm

si ho provato rogue remover ma non me lo ha trovato eppure sono stra convinta che c'è!

da **ste_95** » dom apr 13, 2008 5:42 pm

La prossima volta per postare il log fai attenzione a queste regole.

In hijackthis, seleziona queste voci e premi Fix checked in basso:

O2 - BHO: (no name) - {2DCDFA26-DFC1-44C4-B47B-06BBAC9E50A6} - C:\WINDOWS\system32\ddcYoNhG.dll (file missing)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: (no name) - {C3E15DFE-D990-4C3F-9BE2-4CF4E3E007CE} - C:\WINDOWS\system32\yayyXOHa.dll
O3 - Toolbar: sgoblxtm - {1F8A048D-9A0B-4565-A3D0-2A2E6B44592A} - C:\WINDOWS\sgoblxtm.dll
O4 - HKLM\..\Run: [54b6bdac] rundll32.exe "C:\WINDOWS\system32\vvdyotht.dll",b
O4 - HKLM\..\RunOnce: [SpybotDeletingA4421] command /c del "C:\WINDOWS\system32smp\msrc.exe"
O4 - HKLM\..\RunOnce: [SpybotDeletingC7073] cmd /c del "C:\WINDOWS\system32smp\msrc.exe"
O4 - HKLM\..\RunOnce: [SpybotDeletingA1749] command /c del "C:\Documents and Settings\ds\Impostazioni locali\Temp\removalfile.bat"
O4 - HKLM\..\RunOnce: [SpybotDeletingC230] cmd /c del "C:\Documents and Settings\ds\Impostazioni locali\Temp\removalfile.bat"
O4 - HKLM\..\RunOnce: [SpybotDeletingA9635] command /c del "C:\WINDOWS\system32\ddcYoNhG.dll_old"
O4 - HKLM\..\RunOnce: [SpybotDeletingC5643] cmd /c del "C:\WINDOWS\system32\ddcYoNhG.dll_old"
O4 - HKLM\..\RunOnce: [SpybotDeletingA2372] command /c del "C:\WINDOWS\system32\vvdyotht.dll_old"
O4 - HKLM\..\RunOnce: [SpybotDeletingC2094] cmd /c del "C:\WINDOWS\system32\vvdyotht.dll_old"
O4 - HKCU\..\Run: [xfjjkxai] C:\WINDOWS\system32\xwdaturc.exe
O4 - HKCU\..\RunOnce: [SpybotDeletingB2799] command /c del "C:\WINDOWS\system32smp\msrc.exe"
O4 - HKCU\..\RunOnce: [SpybotDeletingD5278] cmd /c del "C:\WINDOWS\system32smp\msrc.exe"
O4 - HKCU\..\RunOnce: [SpybotDeletingB4158] command /c del "C:\Documents and Settings\ds\Impostazioni locali\Temp\removalfile.bat"
O4 - HKCU\..\RunOnce: [SpybotDeletingD6634] cmd /c del "C:\Documents and Settings\ds\Impostazioni locali\Temp\removalfile.bat"
O4 - HKCU\..\RunOnce: [SpybotDeletingB6388] command /c del "C:\WINDOWS\system32\ddcYoNhG.dll_old"
O4 - HKCU\..\RunOnce: [SpybotDeletingD6325] cmd /c del "C:\WINDOWS\system32\ddcYoNhG.dll_old"
O4 - HKCU\..\RunOnce: [SpybotDeletingB9581] command /c del "C:\WINDOWS\system32\vvdyotht.dll_old"
O4 - HKCU\..\RunOnce: [SpybotDeletingD724] cmd /c del "C:\WINDOWS\system32\vvdyotht.dll_old"
O20 - Winlogon Notify: yayyXOHa - C:\WINDOWS\SYSTEM32\yayyXOHa.dll

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto: Files to delete: C:\WINDOWS\sgoblxtm.dll C:\WINDOWS\system32\xwdaturc.exe C:\WINDOWS\system32smp\msrc.exe C:\Documents and Settings\ds\Impostazioni locali\Temp\removalfile.bat C:\WINDOWS\system32\ddcYoNhG.dll_old C:\WINDOWS\system32\vvdyotht.dll_old C:\WINDOWS\SYSTEM32\yayyXOHa.dll

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

Infine scansiona questo file su www.virustotal.com e postane qui i risultati:

C:\DOCUME~1\ds\IMPOST~1\Temp\ir_ext_temp_0\autorun.exe

da **prik** » dom apr 13, 2008 7:00 pm

scusami...non avevo letto che non si poteva...comunque ho provveduto a rimediare e ho messo il link!
riguardo a avenger...
quando lo avvio devo spuntare la casellina "input script manual"?

da **ste_95** » dom apr 13, 2008 7:21 pm

prik ha scritto:quando lo avvio devo spuntare la casellina "input script manual"?

Scarica la nuova versione, stai usando la vecchia.

da **prik** » dom apr 13, 2008 7:23 pm

ok mi sono documentata è che io avevo la vecchia versione di avenger adesso ho scaricato la nuova

da **ste_95** » dom apr 13, 2008 7:27 pm

Scrivo questo messaggio solo per dirti di aspettare, ti spiego tutto nel messaggio seguente!

da **ste_95** » dom apr 13, 2008 7:30 pm

Ho analizzato il trojan e ho scoperto che è una variante del Trojan Zlob, ecco la procedura completa.

Scarica Avenger
Estrailo in una cartella a tua scelta
Esegui il file avenger.exe con la figura di una spada
Ora incolla queste righe nella box bianca che si è aperta:

Codice: Seleziona tutto: Files to delete: C:\Documents and Settings\All Users\Dati applicazioni\eduzipar\wzidareh.exe C:\WINDOWS\system32\byXQgeEv.dll C:\WINDOWS\system32\cfsxynmh.exe C:\WINDOWS\dsktbwfe.dll C:\WINDOWS\nslbvxpgrno.dll C:\WINDOWS\ogxtsepr.dll C:\WINDOWS\sgoblxtm.dll C:\WINDOWS\spnkfwad.exe

Togli il segno di spunta dalla voce Scan for Rootkits
Premi il pulsante Execute
Rispondi di Si alle due richieste di Avenger
Adesso il tuo computer dovrebbe riavviarsi, nel caso non succedesse, riavvialo tu manualmente
Al riavvio del computer, copia e incolla qui il contenuto del blocco note che apparirà.

da **prik** » dom apr 13, 2008 7:47 pm

ecco il link con il log che mi è venuto fuori al riavvio del pc...
non so se può essere utile ma il "triangolino giallo" finto è scomparso e il desktop è normale

http://www.mediafire.com/?rudfn9plcdw

da **ste_95** » dom apr 13, 2008 7:52 pm

Fantastico! Provvederò quanto prima ad aggiornare il mio articolo sul Trojan visto che ne è uscita una nuova variante.

PS. Puoi controllare se hai cartelle strane in questa cartella:

C:\Documents and Settings\All Users\Dati applicazioni

?

da **ste_95** » dom apr 13, 2008 7:57 pm

Riabilita infine il Task Manager che il Trojan aveva disattivato seguendo questa guida.

da **prik** » dom apr 13, 2008 7:58 pm

allora....credo proprio di si sai?
ho una tale "pknoruxc"
poi ho anceh yahoo! companion.... quel "companion" è regolare?
per il resto direi nulla di strano!

da **prik** » dom apr 13, 2008 8:00 pm

no no il task manager grazie al cielo ha ripreso a funzionare da solo! nn chiedermi come ma funziona!

da **ste_95** » dom apr 13, 2008 8:06 pm

Esegui ancora questo script con Avenger:

Codice: Seleziona tutto: Folders to delete: C:\Documents and Settings\All Users\Dati applicazioni\pknoruxc

Posta il responso.

da **prik** » dom apr 13, 2008 8:24 pm

http://www.mediafire.com/?ybj9nyk3rgn

da **ste_95** » dom apr 13, 2008 8:28 pm

Sembra tutto a posto. Puoi confermarlo?

da **prik** » dom apr 13, 2008 8:32 pm

ah si si si!!! sembra davvero tutto a posto! funziona che è una meraviglia sono scomparsi cosi strani e cartelle dubbie...

GRAZIE MILLE!!!!!!!!! Sono in debito!!!

da **prik** » dom apr 13, 2008 9:13 pm

E' RIAPPARSO!!!

il desktop è normale...è tutto normale! ma è riapparso il triangolino giallo che qualche volta mi dice che ho il pc infettato e che mi rimanderebbe a questo sito

Codice: Seleziona tutto: http://antispyware-reviews.biz/?wmid=4663&pwebmid=R3n1c2Bg8A

e qualche volta si aprono anche delle finestre con il contorno rosso che mi dice che ho un trojan da togliere nel pc ma io credo sia sempre la stessa combriccola di virus....

adesso sono davvero stanca di sta battaglia... ora vado a letto ci penso domani sera! Intanto se qualcuno ha qualche idea su cosa possa fare ancora per togliere sto maledetto....accetto volentieri!

da **ste_95** » lun apr 14, 2008 6:03 am

Sono entrambi due programmi rogue, cioè falsi. Peraltro sono quasi identici.

Avevi aggiornato Rogue Remover prima di avviare la scansione? Combofix lo avevi provato? Vediamo un nuovo log di hijackthis.

www.MegaLab.it

ho lo schermo molto strano... credo sia un bel virus

Chi c’è in linea